CVSS

CVSS-Definition

Das Common Vulnerability Scoring System (CVSS) ist ein standardisiertes Rahmenwerk zur Bewertung und Kommunikation der Schwere von Software-Schwachstellen. Es bietet Organisationen und Sicherheitsfachleuten eine gemeinsame Sprache zur Priorisierung der Behebung von Schwachstellen basierend auf ihrem potenziellen Impact.

CVSS verwendet ein Bewertungssystem von 0,0 bis 10,0, um Schwachstellen zu bewerten, wobei ein höherer Wert eine schwerwiegendere Bedrohung anzeigt. Dieses Bewertungssystem berücksichtigt den Einfluss der Schwachstelle auf Vertraulichkeit, Integrität und Verfügbarkeit sowie andere Faktoren wie Ausnutzbarkeit und Angriffskomplexität. Durch die Zuweisung von Punkten zu Schwachstellen hilft CVSS Organisationen, Sicherheitsmaßnahmen zu priorisieren und Ressourcen effektiv zuzuweisen.

Wie CVSS funktioniert

CVSS nutzt drei Metrikgruppen: Basis, Temporal und Umwelt. Jede Gruppe bietet einzigartige Perspektiven auf die bewertete Schwachstelle.

Basis-Metriken

Die Basis-Metriken sind grundlegende Indikatoren für die Eigenschaften einer Schwachstelle. Diese Metriken umfassen:

• Angriffsvektor: Definiert, wie die Schwachstelle ausgenutzt werden kann, z. B. über ein lokales oder benachbartes Netzwerk.
• Angriffskomplexität: Bezeichnet den Grad an Fachwissen, der erforderlich ist, um die Schwachstelle auszunutzen.
• Erforderliche Berechtigungen: Gibt an, welches Maß an Berechtigungen ein Angreifer haben muss, um die Schwachstelle auszunutzen.
• Benutzerinteraktion: Gibt an, ob eine Benutzerinteraktion erforderlich ist, um die Schwachstelle auszunutzen.
• Umfang: Bestimmt, ob die Schwachstelle nur die betroffene Komponente betrifft oder eine größere Auswirkung hat.
• Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit (CIA): Misst die Auswirkungen auf diese drei Aspekte der Informationssicherheit.

Basierend auf diesen Metriken erhält jede Schwachstelle eine Punktzahl von 0,0 bis 10,0, wobei 10,0 die schwerwiegendste ist. Die Punktzahl spiegelt die Gesamtrisiko-Bewertung der Schwachstelle wider.

Temporale Metriken

Temporale Metriken erfassen die zeitbasierten Eigenschaften einer Schwachstelle. Diese Metriken umfassen:

• Reifegrad des Exploit-Codes: Repräsentiert die Wahrscheinlichkeit, dass ein Exploit entwickelt und verfügbar gemacht wird.
• Abhilfemaßnahmen-Niveau: Gibt die Verfügbarkeit einer Abhilfe oder eines Workarounds für die Schwachstelle an.
• Berichterstattungszuversicht: Reflektiert das Vertrauen in die Existenz der Schwachstelle und die Genauigkeit der verfügbaren Informationen.

Diese Metriken ermöglichen Anpassungen der Basis-Punktzahl, um die sich entwickelnde Natur von Schwachstellen und die Verfügbarkeit von Gegenmaßnahmen widerzuspiegeln.

Umwelt-Metriken

Umwelt-Metriken ermöglichen es Organisationen, die CVSS-Punktzahl basierend auf den einzigartigen Merkmalen ihrer Umgebung anzupassen. Berücksichtigte Faktoren umfassen:

• Potenzial für Kollateralschäden: Bewertet die potenziellen Auswirkungen auf Systeme oder Daten, die über den unmittelbaren Umfang der Schwachstelle hinausgehen.
• Zielverteilung: Berücksichtigt die Verbreitung der betroffenen Komponente in der Umgebung.
• Vertraulichkeitsanforderung: Reflektiert die Bedeutung der Vertraulichkeit für das betroffene System oder die betroffenen Daten.
• Integritätsanforderung: Reflektiert die Bedeutung der Integrität für das betroffene System oder die betroffenen Daten.
• Verfügbarkeitsanforderung: Reflektiert die Bedeutung der Verfügbarkeit für das betroffene System oder die betroffenen Daten.

Durch die Berücksichtigung dieser Faktoren können Organisationen die CVSS-Punktzahl an ihre spezifischen Umstände anpassen und die Bemühungen zur Behebung entsprechend priorisieren.

Präventionstipps

Um CVSS effektiv in Ihrer Organisation zu nutzen, beachten Sie die folgenden Präventionstipps:

1. Regelmäßig Schwachstellen bewerten und bewerten: Führen Sie Schwachstellenbewertungen unter Verwendung des CVSS-Rahmenwerks durch, um Schwachstellen in Ihren Systemen zu identifizieren, zu klassifizieren und zu bewerten. Dieser kontinuierliche Prozess stellt sicher, dass Sie ein aktuelles Verständnis der in Ihrer Umgebung vorhandenen Schwachstellen haben.

2. Auf höher bewertete Schwachstellen fokussieren: Priorisieren Sie die Behebung von Schwachstellen mit höheren Punktzahlen, da sie ein größeres Risiko für Ihre Systeme darstellen. Indem Sie sich auf diese Schwachstellen konzentrieren, können Sie Ressourcen effektiv einsetzen und potenzielle Bedrohungen effizienter mindern.

3. Aktualisiert bleiben mit der neuesten CVSS-Version: CVSS entwickelt sich kontinuierlich weiter, um neuen Herausforderungen gerecht zu werden und die Genauigkeit zu verbessern. Es ist wichtig, sich über die neueste Version von CVSS auf dem Laufenden zu halten, um sicherzustellen, dass Ihre Schwachstellenbewertungen den neuesten Standards und Best Practices entsprechen.

Durch die Beachtung dieser Präventionstipps können Sie das CVSS-Rahmenwerk effektiv nutzen, um Schwachstellen in den Systemen Ihrer Organisation zu bewerten und zu priorisieren und dadurch Ihre allgemeine Sicherheitslage zu verbessern.

Verwandte Begriffe

• Vulnerability Assessment: Der Prozess der Identifizierung, Klassifizierung und Priorisierung von Schwachstellen in Computersystemen.
• Exploitability: Die Wahrscheinlichkeit, dass eine Schwachstelle ausgenutzt wird, und die Leichtigkeit, mit der dies erreicht werden kann.